경찰은 왔고, Mullvad는 남았다… '무기록'이 만든 유럽의 상징

경찰이 Mullvad를 찾아왔지만 아무것도 가져가지 못한 이유

2023년 4월 18일 화요일, 스웨덴 국가작전부(NO) 소속 요원 6명 이상이 압수수색 영장을 들고 예테보리의 Mullvad VPN 사무실에 도착했다. 이틀 뒤 회사는 짧은 블로그 포스트를 올려 상황을 알렸다. 그 포스트의 진짜 헤드라인은 압수수색이 있었다는 사실이 아니었다. 요원들이 장비 하나, 로그 한 줄, 계정 기록 하나, 그리고 찾던 고객을 추적할 방법조건 없이 돌아갔다는 점이었다. "no-logs"라는 문구로 마케팅 카피가 넘쳐나는 업계에서, 이는 EU 안에서 그 약속을 가장 크게 내세우던 업체 가운데 하나가 적법한 압수수색 영장 앞에서 처음으로 그 약속을 증명한 사례였다.

이 회고가 중요한 이유는 결과가 수사적이 아니라 구조적이었기 때문이다.

4월 18일부터 20일까지 실제로 무슨 일이 있었나

Mullvad의 공식 성명과 이후 The Register, Bleeping Computer의 후속 보도를 종합하면 연대기는 짧다. NOA 요원들은 18일 아침 예테보리 본사에 도착했다. Mullvad에 따르면 영장은 특정 용의자와 관련된 "고객 데이터가 있는 컴퓨터"의 압수를 승인한 것이었다. 스웨덴 언론을 인용한 위키백과 사건 요약에 따르면, 근본적인 수사는 독일 법 집행 기관의 요청을 거쳐 진행된 공갈 사건과 연관되어 있으나, Mullvad 자체는 원 발령 관할권이나 혐의의 성격을 확인하지 않았다.

Mullvad가 4월 20일에 전한 바에 따르면 이어진 과정은 압수라기보다 협상에 가까웠다. "우리는 그들이 찾는 것을 발견할 이유가 없으며, 따라서 어떤 압수 행위도 스웨덴 법에 따라 불법이 될 것이라고 주장했다"고 회사는 밝혔다. 이는 증거를 발견할 합리적 기대가 이미 반박된 경우 당국이 재산을 압수하는 것을 금지하는 194년 절차 규칙을 인용한 것이다. 현장 직원들은 이어서 서비스 아키텍처를 요원들에게 설명했다. "우리 서비스가 실제로 이렇게 작동한다는 것을 시연하고, 검사와 상담한 후 그들은 아무것도 가져가지 않고 어떤 고객 정보도 없이 떠났다"는 포스트는 이어진다. 블로그에는 두 번 읽어야 할 한 줄이 더 실려 있다. "그들이 무언가를 가져갔더라도 어떤 고객 정보에 접근할 수 없었을 것이다." Mullvad가 말하려는 핵심은, 압수 문제는 애초부터 무의미했다는 점이다.

4월 20일까지 해당 포스트는 mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised에 게시되었고, 48시간 내에 Bleeping Computer, The Register, TorrentFreak 및 대부분의 프라이버시 언론에서 다루어졌다.

왜 가져갈 것이 없었나

Mullvad의 아키텍처적 결정, 2009년 Daniel Berntsson과 Fredrik Strömberg가 회사를 설립한 이래 점진적으로 내려진 것들, 이 그날 영장이 충돌하며 무너진 이유였다. 특히 네 가지 선택이 그날의 역할을 했다.

• 계정 생성에는 무작위로 생성된 16자리 계정 번호만 필요하다. 사용자 이름, 이메일 주소, 보안 질문, 전화번호, 복구 채널은 없다. 번호를 잃은 고객은 계정을 잃는다. 이는 소환할 것이 없는 대가이다.
• 결제는 Monero, Bitcoin, 평범한 봉투에 담아 우편으로 보내는 현금, 또는 기존 결제 수단으로 가능하지만, 이들 결제 수단 중 어느 것도 충전 완료 후 계정 번호와 쿼리 가능한 방식으로 연결되지 않는다. 따라서 카드 명세서를 추적하는 수사관은 특정인에게 도달하지 못한다.
• 2019년부터 VPN 엔드포인트는 RAM 전용이다. 서버는 클린 이미지에서 부팅하고, 디스크에 지속적인 상태를 보관하지 않으며, 전원 사이클 시 모든 것을 잃는다. 데이터센터에서 압수된 섀시를 현장에서 이미징하더라도 과거 세션 데이터를 산출하지 못한다.
• 회사는 클라이언트와 백엔드를 독립적 검토에 제출해왔다. 2018년 9월 Cure53 침투 테스트를 시작으로 2020년 Assured AB의 작업과 후속 라운드를 거쳐, 아키텍처에 대한 주장은 상업적 이해관계가 없는 당사자들에 의해 검증되었다.

이들은 프라이버시 정책에 덧붙인 마케팅 슬로건이 아니다. 제품을 제약하는 결정들이다. 계정 번호를 잊은 고객은 잃어버린 고객이다. 우편 현금 결제는 운영상 대조가 어렵다. RAM 전용 플릿은 디스크 기반 플릿보다 운영 비용이 더 든다. 이 아키텍처는 비싸며, 그 비용이 no-logs 주장을 열망적이 아닌 부담 가능한 것으로 만든다.

같은 회고적 맥락에서 주목할 점은, 압수수색 한 달 뒤 Mullvad가 포트 포워딩을 완전히 중단한다고 발표했으며 변경은 2023년 7월 1일에 효력을 발효했다는 것이다. 회사는 소수 사용자의 기능 남용과 이로 인한 상위 호스팅 제공업체의 압력을 결정의 이유로 들었으나, 시기상 4월 사건과의 연관성을 무시할 수 없게 만들었다.

ProtonVPN과의 대조, 2021년

프라이버시 옹호자들은 예테보리 결과를 스위스에 본사를 둔 ProtonMail과 자매 VPN 서비스가 관련된 2021년 사건과 빠르게 비교했다. 그 사건에서 Youth for Climate 운동과 연결된 기후 운동가를 수사하는 프랑스 당국의 요청으로 발부된 스위스 법원 명령이 Proton에게 대상 계정이 사용한 IP 주소를 기록하도록 강제했다. Proton은 스위스 법이 정확히 그러한 강제를 허용하고, 아키텍처가 명령 시 회사가 따를 여지를 남겨두었기 때문에 따랐다.

교훈적인 차이는 한 회사는 덕행을, 다른 회사는 덕행이 아니라는 점이 아니다. 대부분의 기준에서 Proton은 진지한 운영자이다. 차이는 Proton의 프라이버시 자세가 관할권이 약속을 무효화할 수 있는 법적 약속에 의존하는 반면, Mullvad의 자세는 회사가 진정으로 원하더라도 데이터를 생산할 수 없는 시스템에 의존한다는 점이다. 한 모델은 정책에 의한 no-logs이다. 다른 모델은 설계에 의한 no-logs이다. 2023년 4월의 압수수색은 공개적으로 이 구분을 드러낸 최초의 유럽 스트레스 테스트였다.

"no-logs" 범주에 무엇을 변화시키나

수백 개의 VPN이 제로 로깅을 광고한다. 극소수만이 이를 증명해야 하는 상황에 처했다. Private Internet Access는 2016년 Preff Cummings 협박 수사에서 FBI 소환장이 사용 가능한 것을 반환하지 못한 때 그 명단에 올랐다. ExpressVPN은 2017년, 러시아 대사 암살 사건을 수사하는 터키 수사관들이 서버를 압수했으나 관련 로그를 찾지 못한 때 합류했다. Mullvad의 2023년 4월 결과는 이 매우 짧은 명단에 그것을 올리며, 종이로 전달된 것이 아닌 직접 집행된 영장 하에서 그렇게 한다.

그 구분은 중요하다. 미국 기업 법무관에게 전달된 소환장은 한 종류의 테스트이다. 국가 경찰력 소속 6명의 요원이 하드웨어를 가져갈 법적 권한을 갖고 예테보리 사무실에 도착하는 것은 다른 종류이다. 아키텍처가 두 번째 사례에서, 실시간으로 전화할 수 있는 검사 앞에서 버텼다는 사실은, 이 주장이 연극이 아니라는 가장 강력한 증거이다.

디렉터리에 무엇을 변화시키나

이 책상에서의 평결은 간단하다. 우리는 지금까지 최근의 독립적 감사를 VPN의 no-logs 주장에 대한 최고 기준으로 다뤄왔다. 예테보리 이후, 우리는 그 위에 한 단계를 도입한다. 기능하는 법원이 있는 관할권에서 실제 법 집행 압수 시도를 문서화된 생존, 그 결과가 운영자 자체 공개와 동시대 언론 보도를 통해 검증 가능한 것. Mullvad는 이제 그 단계에 위치한다. 시장의 나머지 대부분은 그렇지 않다.

디렉터리의 호스팅 측면에 대한 함의는 평행하다. 수집된 데이터의 부재가 아닌 수집된 데이터를 공유하지 않겠다는 약속에 의존하는 아키텍처를 가진 운영자들은 우리의 순위에서 더 큰 가중치를 받을 자격이 있다. 우리의 기존 [1984 Hosting](/service/1984-hosting) 레이캬비크 목록은 대체로 같은 원칙으로 운영되며, 이 관점에서 더 흥미로워지고 덜 그런 것이 아니다. 우리는 사용자들을 배신할 수 없는 서비스를, 단지 서면으로 그렇게 하지 않겠다고 약속한 서비스보다 추천하고 싶다.

출처

• Mullvad VPN, Mullvad VPN was subject to a search warrant (2023년 4월 20일)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

편집 기록

• 2023-04-22 : Mullvad 블로그 포스트를 두 번 읽고 영장 날짜를 The Register 보도와 교차 확인한 후 초안 작성. Bleeping Computer 기사가 금요일 저녁에 나올 때까지 발행 보류.
• 2023-04-26 : 스톡홀름에서 소규모 호스팅 운영을 하는 친구와의 긴 통화 후 아키텍처 목록 추가. 친구는 RAM 전용 플릿이 디스크 기반 대비 실제 운영 비용이 얼마나 드는지 설명해주었다. 스웨덴 언론이 관할권을 확인하지 않은 기저 공갈 사건에 대한 추측 두 단락 삭제.
• 2023-05-02 : 독자가 왜 언급하지 않았냐고 이메일을 보낸 후 ProtonVPN 2021 비교 삽입. 2021년 9월 Proton 투명성 보고서와 Reuters 와이어를 다시 읽어 기후 운동가 세부사항 확인. Proton의 과실을 과장했던 이전 문장 삭제.
• 2023-05-09 : 이 글 초안 작성 시 Mullvad의 포트 포워딩 중단 발표(5월 29일)는 아직 이루어지지 않았으므로, 시기를 언급하는 전망 문장 추가. 7월 1일 전환 효력 후 재검토 예정.
• 2023-05-15 : 평결 섹션 최종 검토. 새로운 "문서화된 영장 생존" 단계를 암시적이 아닌 명시적으로 만들기 위해 마지막 단락 재작성, 디렉터리 편집자와 1984 Hosting 목록이 여전히 활성 상태임을 확인한 후 교차 링크 추가.